CVE-2026-118394

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Description O endpoint de informações do usuário OAuth2 /login/oauth/userinfo manipulou incorretamente a reivindicação groups ao reanalisar o cabeçalho Authorization como um token de acesso OAuth2, em vez de utilizar o escopo da credencial usada para autenticação. Se um token de acesso pessoal apenas público ou um token OAuth2 apenas público fosse fornecido via campo de formulário ou parâmetro de consulta, o escopo retornava vazio. Isso resultava na divulgação dos nomes de organizações privadas, nomes de equipes e participações ocultas do proprietário do token. Este problema não expõe conteúdo de repositórios.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.